Anche il problema della sicurezza di Twitter di James Comey è un tuo problema

Fino a poco tempo, molte delle grandi perdite di dati clamorose, come il Obbiettivo e Sony hack: sono avvenuti perché i dati non erano protetti. Una corretta crittografia probabilmente avrebbe impedito tali violazioni.

Ora le cose sono diverse. Stiamo vedendo sorgere sempre più problemi non perché i dati non siano protetti, ma perché sono protetti in modo improprio.

Fino a poco tempo, poche persone al di fuori del mondo accademico prestavano molta attenzione a un concetto chiamato sicurezza del flusso di informazioni, che prevede il controllo dei dati mentre interagiscono con il software. Poi è arrivato Questo è quasi sicuramente l'account Twitter di James Comey , un articolo di Gizmodo che cattura tutto ciò che significa essere una moderna fuga di informazioni.

La storia dietro l'articolo: una giornalista di nome Ashley Feinberg voleva trovare l'account Twitter segreto del direttore dell'FBI James Comey. Ha iniziato a scavare in Internet ed è stata in grado di scoprire l'account in sole quattro ore, in gran parte sfruttando un bug chiave del flusso di informazioni in Instagram.

Feinberg descrive come ha usato i fatti su Comey e la sua famiglia per trovare un tweet pubblico che la porta a un commento pubblico su Instagram che la porta alla pagina Instagram protetta del figlio 22enne di Comey, Brien.

Jean Yang Leonard Greco

Dopo che Feinberg ha inviato richieste per seguire Brien, Instagram ha raccomandato di seguire anche lei reinholdniebuhr , un altro account Instagram protetto che corrispondeva a ciò che Feinberg già sapeva sull'account Instagram di James Comey. Ancora meglio, l'handle di Twitter con lo stesso nome corrispondeva a ciò che Feinberg sapeva dell'account Twitter di Comey.

Ci sono molte cose che accadono qui, molte delle quali sono al di fuori del controllo di uno sviluppatore di software su Instagram, ma al centro di questa perdita c'è un bug del flusso di informazioni. Feinberg ha fatto affidamento su diversi fatti pubblici chiave su Comey, ma non sarebbe stata in grado di trovare il suo account Twitter se Instagram non avesse fornito inavvertitamente gli indizi vitali. E Instagram non avrebbe rivelato queste informazioni se il codice avesse applicato correttamente la sicurezza del flusso di informazioni.

C'è un'incoerenza tra il modo in cui Instagram protegge le informazioni sui profili degli account quando gli utenti tentano di accedervi e il modo in cui protegge queste informazioni quando vengono utilizzate in vari algoritmi. Quando provi a visualizzare la pagina Instagram di un utente protetto, non puoi accedere alle foto di quella persona o vedere chi sta seguendo quell'utente. Si scopre, tuttavia, che le informazioni sull'account protetto sono visibili agli algoritmi che suggeriscono Altro utenti da seguire, una caratteristica che diventa, erroneamente, visibile a tutto spettatori una volta che viene richiesto un follow.

In questo caso la violazione delle norme è particolarmente insidiosa perché ciò che è effettivamente trapelato, la foto del profilo e il nome di reinholdneibuhr, sono entrambi pubblici su Instagram. Ciò che dovrebbe essere privato è il relazione tra Brien Comey e questo conto reinholdneibuhr. Anche se è possibile che Instagram abbia mostrato casualmente reinholdneibuhr come account consigliato da seguire 600 milioni di utenti mensili attivi , ciò che è più probabile, soprattutto considerando che gli altri utenti consigliati avevano il cognome Comey, è che l'algoritmo di raccomandazione di Instagram utilizzava informazioni segrete di follow per calcolare quali account consigliare. Nella nomenclatura del flusso di informazioni, la fuga di informazioni segrete attraverso la visualizzazione di informazioni pubbliche è chiamata flusso implicito.

Proprio come una corretta crittografia avrebbe impedito gli hack di Target e Sony, esistono soluzioni per prevenire perdite di informazioni come questa. Ci sono decenni di ricerche sulle tecniche di sicurezza del flusso di informazioni: alcune che controllano il software prima che venga eseguito, altre che monitorano il software mentre è in esecuzione. Questo lavoro è molto più che teorico: le persone hanno costruito sistemi operativi e framework Web basati su queste idee. Tali sistemi avrebbero rilevato se un algoritmo di raccomandazione stesse perdendo informazioni segrete sul follow e impedito la perdita. Ma anche con questi approcci, il programmatore deve ancora ragionare sulla complessa e sottile interazione delle politiche tra loro e con il codice per produrre un software che non disperda informazioni.

Nel mio laboratorio, stiamo cercando di rendere più facile per gli sviluppatori implementare le politiche del flusso di informazioni. Aiutiamo la macchina ad assumersi la responsabilità della gestione dell'interazione tra le politiche e con il programma per assicurarsi che gli algoritmi di raccomandazione non perdano informazioni. Le politiche specificano anche quali valori può utilizzare la macchina quando i valori effettivi devono essere mantenuti segreti. Ad esempio, se un algoritmo di ricerca non è autorizzato a utilizzare la posizione esatta di qualcuno, forse può utilizzare la città corrispondente.

Storia correlata

Storia correlata I telefoni che bloccano tutto ciò che contengono potrebbero inibire le forze dell'ordine più di quanto vogliamo.

Anche se la sicurezza digitale dovrebbe essere una delle principali preoccupazioni dell'FBI, Comey non ha potuto evitare i problemi che derivano dal pasticcio di spaghetti politici che è il codice moderno. Sebbene questa fuga di notizie abbia colpito molte meno persone rispetto alle grandi violazioni dei dati, segna un importante cambiamento nella sicurezza delle informazioni.

Fino ad ora, la maggior parte delle persone ha pensato alla sicurezza in termini di protezione dei singoli elementi di dati, piuttosto che in termini di interazioni complesse e sottili con i programmi che li utilizzano. Ma ora viviamo in un mondo in cui il direttore dell'FBI si fida della nostra infrastruttura Internet e di Instagram quanto basta per mettere online 3.227 fotografie private. Da un lato, questo significa che abbiamo raggiunto un certo livello di sicurezza. Dall'altro, significa che ora possiamo concentrarci su problemi di sicurezza più avanzati. E quando chiunque abbia una buona deduzione e un accesso a Internet può scoprire tutti i tipi di informazioni, il nostro lavoro sulla sicurezza delle informazioni è tutt'altro che finito.

Jean Yang | è un assistente professore nel dipartimento di informatica della Carnegie Mellon University ed è stato di nome uno di Revisione della tecnologia del MIT 'S Innovatori Under 35 nel 2016.

nascondere